NISG 2026: Ist mein Unternehmen betroffen, und was ist bis wann zu tun?

Kurzfassung: Das NISG 2026 gilt seit 1. Oktober 2026. Ihr Unternehmen fällt in der Regel darunter, wenn es in einem Sektor aus Anlage 1 oder 2 tätig ist und mindestens 50 Mitarbeiter beschäftigt oder über 10 Millionen Euro Umsatz und über 10 Millionen Euro Bilanzsumme hat. Manche Anbieter sind unabhängig von der Größe erfasst. Die Prüfung machen Sie selbst, eine Einstufung durch die Behörde ist nicht vorgesehen. Die erste Frist ist die Registrierung bis 31. Dezember 2026.

Wie prüfe ich, ob das NISG 2026 für mein Unternehmen gilt?

Für eine erste Einschätzung reichen zwei Fragen: Was macht der Betrieb, und wie groß ist er? Klicken Sie sich durch den Ablauf, er folgt § 24 und § 25 des NISG 2026. Ihre Antworten bleiben im Browser und werden nirgends gespeichert. Das Ergebnis ist eine Lesehilfe und keine Einstufung.

Für die Selbstprüfung braucht es JavaScript. Das Diagramm und die Textfassung darunter gelten auch ohne.

Das Diagramm als Text

Was macht Ihr Betrieb? Nebentätigkeiten zählen in der Regel mit. Öffentliche Verwaltung hat eigene Regeln in § 24 Abs. 3 bis 6.

• Vertrauensdienste, DNS, TLD, öffentliche Kommunikationsnetze oder -dienste, oder ein Bescheid als kritische Einrichtung
• Anlage 1: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, Cloud und Rechenzentren, Managed Services, Weltraum
• Anlage 2: Post und Kurier, Abfall, Chemie, Lebensmittel, Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Forschung
• Nichts davon

Wie groß ist die Einrichtung? Mit verbundenen und Partnerunternehmen gerechnet, Lehrlinge zählen nicht. Maßgeblich ist der letzte Rechnungsabschluss.

• Groß: mindestens 250 Mitarbeiter, oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme
• Mittel: mindestens 50 Mitarbeiter, oder über 10 Mio. Euro Umsatz und über 10 Mio. Euro Bilanzsumme
• Darunter

1. Registrieren: Über das Unternehmensserviceportal, ohne Aufforderung durch die Behörde. Das Bundesamt nennt in den FAQ den 31. Dezember 2026, auf der Pflichtenseite den 1. bzw. 4. Jänner 2027. Planen Sie mit dem 31. Dezember. Wer die Frist versäumt, riskiert nach § 45 Abs. 4 bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
2. Geschäftsführung schulen: Jede Person in der Geschäftsführung braucht eine eigene Schulung, und die Teilnahme wird dokumentiert. Mitarbeitern sind regelmäßig Schulungen anzubieten (§ 31 Abs. 2). Ein fixes Intervall sieht das Gesetz nicht vor.
3. Risikomanagement umsetzen: § 32 Abs. 4 nennt zehn Bereiche, von Risikoanalyse und Vorfallsbewältigung über Backup und Lieferkette bis Multi-Faktor-Authentifizierung. Die NISV 2026 regelt die Details. Fehlt die Umsetzung, gilt der Strafrahmen aus § 45 Abs. 1 bis 3.
4. Selbstdeklaration: Bis 30. September 2027 melden Sie über das Portal, was umgesetzt ist. Dafür kommt ein Formular mit kurzen Fragen. Nach § 45 Abs. 1 ist eine Lücke nicht strafbar, wenn die Behörde sie nur aus der Selbstdeklaration kennt.
5. Nachweis auf Aufforderung: Die Behörde kann frühestens ab 1. Oktober 2028 auffordern. Dann bleiben zwei Jahre für den Nachweis durch eine unabhängige Stelle. Wesentliche Einrichtungen weisen den operativen und organisatorischen Teil binnen zwei Monaten nach. Dafür kann ein gültiges Zertifikat wie ISO 27001 reichen, der Scope muss aber passen.
6. Laufender Betrieb: Änderungen melden Sie je nach Angabe binnen zwei Wochen oder drei Monaten (§ 29 Abs. 4). Die Maßnahmen bleiben laufende Arbeit.
7. Erheblicher Vorfall: Die Fristen laufen ab Kenntnis, auch am Wochenende: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2). Danach sind Sie wieder im laufenden Betrieb.

Für die genaue Prüfung verweist das Bundesamt für Cybersicherheit auf den Online-Ratgeber NIS2 der WKO. Geprüft wird je Einrichtung, also je juristischer Person. Eine Gesamtregistrierung als Konzern gibt es nicht.

Welche Sektoren fallen unter das NISG 2026?

Anlage 1 nennt die Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anlage 2 nennt die sonstigen kritischen Sektoren: Post und Kurier, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.

Drei Punkte aus den FAQ des Bundesamts sind leicht zu übersehen:

• Nebentätigkeiten zählen mit. Eine Ausnahme für vernachlässigbare Tätigkeiten kennt das österreichische Gesetz nicht. Nur bei Energie, Trinkwasser, Abwasser und Abfall kommt es auf den Schwerpunkt an.
• Interne IT zählt. Eine Konzerngesellschaft, die mit administrativem Zugriff die Systeme anderer Konzerngesellschaften betreut, gilt als Managed Service Provider.
• Bei Lebensmitteln müssen Großhandel und industrielle Produktion zusammenkommen. Beim verarbeitenden Gewerbe entscheidet oft der NACE-Code.

Wie wird die Unternehmensgröße berechnet?

Mittel ist ein Unternehmen ab 50 Mitarbeitern oder mit über 10 Millionen Euro Umsatz und über 10 Millionen Euro Bilanzsumme. Groß ist es ab 250 Mitarbeitern oder mit über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme (§ 25 Abs. 2 und 3). Gezählt wird in Jahresarbeitseinheiten, Lehrlinge zählen nicht. Maßgeblich ist der letzte Rechnungsabschluss. Eine Über- oder Unterschreitung wirkt erst, wenn sie zwei Geschäftsjahre in Folge dauert.

Genau rechnen müssen Sie bei der Konzernzurechnung: Verbundene Unternehmen zählen voll, Partnerunternehmen mit 25 bis 50 Prozent anteilig, auch im Ausland. Ausgenommen sind nur Einrichtungen, deren IT organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4).

Was unterscheidet wesentliche und wichtige Einrichtungen?

Die Pflichten sind im Kern dieselben. Der Unterschied liegt in Aufsicht, Nachweis und Strafrahmen. Wesentliche Einrichtungen kann die Behörde von sich aus kontrollieren, bei wichtigen wird sie tätig, wenn sie Hinweise auf Verstöße hat (§ 38). Wesentliche Einrichtungen müssen außerdem den operativen und organisatorischen Teil binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 2).

Was ist nach dem NISG 2026 bis wann zu tun?

• Registrierung über das Unternehmensserviceportal: bis 31. Dezember 2026 laut FAQ des Bundesamts. Auf der Pflichtenseite nennt das Bundesamt den 1. bzw. 4. Jänner 2027. Ich würde mit dem 31. Dezember planen.
• Schulung und Risikomanagement (§ 31 und § 32): Das Gesetz gilt seit 1. Oktober 2026 und setzt dafür keinen eigenen Termin. Die Details regelt die NISV 2026.
• Selbstdeklaration: bis 30. September 2027 (§ 33 Abs. 1).
• Nachweis durch eine unabhängige Stelle: erste Aufforderung frühestens ab 1. Oktober 2028, dann zwei Jahre Zeit (§ 33 Abs. 2).
• Erheblicher Vorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2).
• Änderungen der Angaben: binnen zwei Wochen oder drei Monaten, je nach Angabe (§ 29 Abs. 4).

Eine Registrierung ohne Maßnahmen dahinter bringt wenig. Sinnvoll ist die Reihenfolge aus dem Ablauf oben: registrieren, Geschäftsführung schulen, Risikoanalyse machen, dann die Maßnahmen priorisieren. Für die Datenschutz-Seite derselben Arbeit hilft der DSGVO-Fahrplan für KMU.

Was muss die Geschäftsführung persönlich tun?

Die Geschäftsführung muss die Maßnahmen sicherstellen und beaufsichtigen und selbst an einer eigenen Schulung teilnehmen (§ 31). Das gilt für jede Person in der Geschäftsführung, Mitarbeiter-Schulungen reichen nicht. Die Teilnahme wird dokumentiert. Verwaltungsstrafen für die Geschäftsführung persönlich sieht das Gesetz laut Bundesamt nicht vor, Schadenersatz kann aber möglich sein. Angebote nennt die WKO.

Welche Strafen sieht das NISG 2026 vor?

Bei versäumter Registrierung bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4). Bei fehlenden Maßnahmen, Schulungen oder Meldungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für wesentliche Einrichtungen und bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige, jeweils der höhere Betrag (§ 45 Abs. 2 und 3). Eine Lücke, die die Behörde nur aus der Selbstdeklaration kennt, ist nach § 45 Abs. 1 nicht strafbar.

Wir fallen nicht darunter. Betrifft uns das trotzdem?

Oft schon, und zwar über Ihre Kunden. Erfasste Einrichtungen müssen ihre Lieferkette absichern, soweit sie deren Netz- und Informationssysteme betrifft. Laut Bundesamt reicht dafür kein pauschaler Hinweis in den AGB, gefragt sind konkrete Vertragspflichten: etwa Vorfälle unverzüglich melden, Prüfrechte, Schwachstellen beheben. Rechnen Sie also mit Fragebögen und Vertragsergänzungen, auch als kleiner Betrieb.

Dass das Thema gerade KMU schwerfällt, ist auch in der Forschung beschrieben. Eine Literaturstudie der Universität Maastricht und der Technisch-Naturwissenschaftlichen Universität Norwegens hält fest, dass KMU oft Ressourcen, Fachwissen und Anreize für Cybersicherheit fehlen, und dass Forschung eigens zu KMU selten ist (Quelle: Chaudhary u. a., „A quest for research and knowledge gaps in cybersecurity awareness for small and medium-sized enterprises“, Computer Science Review 2023). Forscher griechischer Universitäten haben 14 Hürden bei der NIS-2-Umsetzung aus Literatur und Experteneinschätzungen modelliert. Fehlendes Bewusstsein und die wechselnde Bedrohungslage wirken dort als Treiber, technische Komplexität und knappe Mittel geben den Druck weiter (Quelle: Mentzelou u. a., „Identifying and Modeling Barriers to Compliance with the NIS2 Directive: A DEMATEL Approach“, Journal of Cybersecurity and Privacy 2025). Das ist ein Modell aus Expertenurteilen und keine Messung in Österreich. Für den ersten Schritt passt es trotzdem: zuerst Klarheit, ob und wie das Gesetz gilt.

Gibt es in Niederösterreich eine Förderung dafür?

Die WKO bietet ihren Mitgliedern laut TIP Niederösterreich einen 8-Stunden-Quickcheck zur Cybersicherheit an, zu 100 Prozent gefördert. Die Details erfahren Sie dort. digi4wirtschaft deckt Cybersicherheit nicht ab. Die Übersicht über andere Programme steht unter Förderungen.

Häufige Fragen zum NISG 2026

Fällt ein Kleinunternehmen unter das NISG 2026?

In der Regel nicht. Unter 50 Mitarbeitern und ohne die Umsatz- und Bilanzschwelle fällt ein Betrieb nach der Grundregel nicht darunter. Ausnahmen gibt es für Anbieter wie DNS, Vertrauensdienste oder öffentliche Kommunikation und bei einem Bescheid der Behörde.

Bis wann muss ich mich nach dem NISG 2026 registrieren?

Das Bundesamt für Cybersicherheit nennt in seinen FAQ den 31. Dezember 2026. Wer erst später unter das Gesetz fällt, hat ab diesem Zeitpunkt längstens drei Monate.

Wer entscheidet, ob mein Unternehmen betroffen ist?

Das Unternehmen selbst. Eine Einstufung durch die Behörde ist laut Bundesamt nicht vorgesehen. Als unverbindliche Hilfe verweist es auf den Online-Ratgeber der WKO.

Reicht ISO 27001 als Nachweis?

Für den operativen und organisatorischen Teil kann ein gültiges Zertifikat reichen, wenn der Scope die ganze Einrichtung erfasst. Der technische Teil braucht laut Bundesamt die Prüfung durch eine unabhängige Stelle.

Gibt es ein Zertifikat für das NISG 2026?

Nein. Laut Bundesamt gibt es kein allgemeines Zertifikat, das die Anforderungen des NISG 2026 nachweist.

Stand: 31. Oktober 2026. Quellen: NISG 2026, BGBl. I Nr. 94/2025, NISV 2026, BGBl. II Nr. 290/2026, FAQ des Bundesamts für Cybersicherheit. Dieser Artikel ersetzt keine Rechtsberatung. Ich bin Unternehmensberater und kein Anwalt, bei Auslegungsfragen wenden Sie sich bitte an eine Anwältin oder einen Anwalt.